개인정보보호법 준수, 개인정보 접속기록 생성에서부터!

개인정보 접속기록 토대로 한 상시 모니터링 시스템 구축이 필수

[보안뉴스=임한준 위즈디엔에스코리아 부장] 2011년 9월 30일 개인정보보호법이 발효된 이후 법과 관련된 수많은 대책들이 쏟아져 나왔다. 그러나 관련업체들의 법령에 관한 모호하고 자의적인 해석으로 인해 실제 도입을 고려하고 있는 업체들은 어디서부터 어떻게 대비해야 하는지 쉽게 결정하지 못하고 고민하고 있는 실정이다. 이에 개인정보보호법에서 요구하는 ‘안전성 확보를 위한 조치’에 대해 정리하고 무엇부터 어떻게 준비해야 좋을지 알아보고자 한다.

개인정보의 안전성 확보조치 기준은 개인정보보호법 시행령 제30조에 따라 개인정보처리자는 개인정보의 안전성 확보에 필요한 조치를 다음과 같이 취해야 한다고 명시하고 있다.

이와 같이 개인정보의 안전성 확보에 필요한 조치는 비인가자/해커 대상으로 개인정보에 접근을 통제 하는 조치와 인가를 받은 내부자를 대상으로 개인정보 접근에 대한 기록을 보관하고 관리하는 조치로 나누어 생각할 수 있다. 필자는 특히, 이 가운데서도 접속기록의 보관 및 위변조 방지 항목에 주목하고자 한다.

개인정보의 유출 및 오남용 사건 사례를 통해 알 수 있듯이, 내부정보 사고의 70% 이상이 내부자, 특히 업무담당자 등 인가자에 의해 주로 발생한다. 이로 인해 접근권한의 관리나 암호화 등 통제 위주의 보안대책으로는 이들의 범죄를 막을 수 없기 때문에 접속기록을 누락 없이 정확하게 생성하여 안전한 장소에 보관해 사고시 그 기록을 통해 범죄사실을 확인하고 근거자료를 확보하는 것이 반드시 필요하다.

또한, 개인정보 접속기록을 토대로 업무자의 행동 분석을 통해 개인정보의 사용여부를 상시 모니터링함으로써 사고를 미연에 방지하는 효과도 기대할 수 있다.

개인정보 접속기록, 개인정보취급자의 정확한 식별 등이 중요

개인정보 접속기록이란 이용자 및 개인정보취급자 등이 개인정보처리시스템에 접속하여 수행한 업무 내역에 대하여 식별자, 접속일시, 접속지를 알 수 있는 정보, 수행업무 등 접속한 사실을 전자적으로 기록한 것을 말한다(개인정보보호법 제29조 안전조치 의무).

이때 개인정보 접속기록의 가장 중요한 점은 어떠한 업무시스템에서라도 실제 개인정보취급자를 정확히 식별하고, 이 취급자가 언제 어디에서 누구의 정보를 어떻게 수행했는지 빠짐없이 명확하게 기록해야 한다.

개인정보 접속기록의 보관

개인정보 접속기록을 생성한 후, 6개월 이상 안전한 장소에 보관하여 위변조를 방지해야 한다(개인정 보보호법 시행령 제30조 및 개인정보의 안전성 확보조치 기준 고시 제8조).

개인정보 상시 모니터링 시스템

보관된 개인정보 접속기록을 생성하는 이유는 유출 사고나 오남용 사고 등 만일의 사태에 대비하여 그 증거를 확보하기 위해서라고 할 수 있다. 하지만 개인정보 접속기록은 매일매일 대량으로 생성되며, 6개월 이상 무계획적으로 보관할 경우 그 기록들은 단순한 로그더미에 지나지 않게 된다. 따라서 개인정보 접속기록의 생성과정에서부터 구조화·표준화하여 보관하고 이를 상시적으로 모니터링하여 사전에 부정행위나 이상징후를 포착할 수 있는 것이 진정한 개인정보 접속기록의 관리라고 할 수 있다.

개인정보 유출사고시 통지·신고 항목

만일 개인정보 유출사고가 발생한 경우, 5일 이내에 정보주체(개인정보의 당사자)에게 이를 통지하고, 1만명 이상의 유출사고시에는 통지 및 조치결과를 5일 이내에 한국정보화진흥원 또는 한국인터넷진흥원 등 대통령령이 정하는 전문기관에 신고해야 한다(개인정보보호법 제34조 개인정보 유출통지 등). 이때 정보주체에게 통지하는 항목으로는,

·유출된 개인정보의 항목과 유출된 시점과 그 경위

·유출로 인하여 발생할 수 있는 피해를 최소화하기 위하여 정보주체가 할 수 있는 방법 등에 관한 정보

·개인정보처리자의 대응조치 및 피해구제절차

정보주체에게 피해가 발생한 경우 신고 등을 접수할 수 있는 담당부서 및 연락처 등이 있으며, 전문기관에 신고하는 항목으로는,

·정보주체에의 통지 여부

·유출된 개인정보의 항목 및 규모

·유출된 시점과 그 경위

·유출피해 최소화 대책·조치 및 결과

·정보주체가 할 수 있는 피해 최소화 방법 및 구제절차 등이 있다.(개인정보보호법 시행령 제39조, 제40조, 표준 개인정보 보호지침 제2장 제4절 제 27조)

이를 위해 개인정보 접속기록의 모든 항목을 100% 누락없이 기록하고, 이를 구조화·표준화해 보관·관리함으로써 만일의 사고 발생시 즉각적인 조치와 사고 항목, 시점, 경위 및 규모 확인, 나아가 범인의 추적이 가능하도록 해야 한다.

[OOOO공단 구축사례]

구축배경

사회적 이슈가 되고 있는 개인정보 부정사용, 오남용 등 내부보안 위협에 보다 적극적으로 대처하기 위하여 ‘개인정보 부정사용 감시 시스템’의 구축이 필요했으며, 특히 기관업무의 특성상 만일의 개인정보 부정사용 발생은 기관 이미지에 막대한 영향을 끼치므로 모든 업무 시스템에서 효과적으로 개인정보 조회 로그를 생성하고, 개인정보 부정사용을 감시·적발할 수 있는 일체의 기능을 통합 제공하는 감시 시스템의 도입이 필요했다.

구축 포인트

기존 유사 시스템의 구축사례를 보면 개인정보 열람이력을 생성하기 위해 기존 업무 시스템의 어플리케이션을 수정하고, DB접근제어 등 개별 보안 루션을 도입한 후 SI사업을 통해 별도의 감시 시스템을 구축하는 방식으로 기능 및 성능 면에서 제약사항이 많았다. 특히, 다양한 개인정보 사용경로를 모두 감시·기록하는 것이 불가능하고 개인정보 열람이력을 생성하기 위하여 업무 어플리케이션을 모두 수정해야 하는 문제로 시스템 구축이 매우 어렵고 많은 비용과 시간이 소요되는 것은 물론, 기존에 잘 사용하는 시스템에 대한 S/W 수정이 라는 리스크가 발생된다.

그러나 ‘WEESDS Blackbox Suite’는 이러한 모든 문제를 해결한 최초의 상용제품으로서 기존 어플리케이션에 대한 일체의 수정 없이 개인정보 열람 이력을 생성하는 것은 물론 부정사용에 대한 효과적인 감시와 부정사용 자 적발을 위한 다양한 도구와 기능이 일괄 제공된다. 또한, 솔루션 기반의 시스템 구축으로 투자비용 또한 최 소화할 수 있는 점이 큰 장점으로 이번 사업의 주요한 선정 배경이 됐다.

시스템 구성 및 주요 기능

·업무 시스템을 경유한 DB사용 및 DB콘솔 등 모든 DB내 개인정보 사용행위에 대한 접속기록 생성

·개인정보 부정사용 감시에 특화된 시스템으로써 수많은 개인정보 사용행위에서 부정사용을 적발할 수 있도 록 감시, 추적, 감사 등 제반 기능 통합 제공

·수집된 개인정보 조회행위에 대한 종합분석을 통해 위험도, 토폴로지 등 다양한 정보 제공

·부정사용 행위 및 행위자 추적, 적발을 위한 다차원 분석 기능 제공.

도입효과

개인정보 취급이 많은 업무 특성에 따라 개인정보를 취급하는 업무시스템과 DBMS에서 개인정보 접속기록을 생성, 보관하고 개인정보 사용현황의 파악 및 부정사용을 상시적으로 감시·적발할 수 있는 보안관리체계를 구축할 수 있었다.

[글_ 임 한 준 위즈디엔에스코리아 전략사업팀 부장(hj.lim@weeds.co.kr)]

3월 15일부터 시행되고 있는 개정 개인정보보호법과 관련해 가장 까다롭고 이행하기 어려운 조항은 무엇인가요?
	인공지능(AI) 등 자동화된 결정에 대한 정보주체 권리 구체화
	접근권한 관리 등 개인정보 안전성 확보조치 강화 및 고유식별정보 관리실태 정기조사
	영향평가 요약본 공개제도 도입 등 개인정보 영향평가제도
	영상정보처리기기 및 안전조치 기준
	개인정보 보호책임자의 전문성 강화 위한 전문CPO 지정
	국외 수집·이전 개인정보 처리방침 공개 등 개인정보 처리방침 평가제도
	손해배상책임 의무대상자 변경 및 확대
	공공기관 개인정보 보호수준 평가 확대
	기타(댓글로)